Wenn Sicherheitsregeln im Alltag versagen

Die größte Ab­sur­di­tät: eine vom Risiko ge­trenn­te Regel

Informationssicherheit soll Prozesse, Daten und Kontinuität schützen und keine Verbote ohne Zweck produzieren. Eine Regel wird absurd, wenn Risikoszenario, Verantwortliche, Anwendung und Wirksamkeitsnachweis nicht benannt werden können. Dann entstehen Umgehungen und die Organisation gewinnt ein Dokument statt Schutz.

Beispiele, die sofort auffallen sollten

Es geht nicht darum, Vorsicht lächerlich zu machen, sondern Kontrollen zu entfernen, die nur scheinbar wirken oder ein anderes Risiko erhöhen.

• Ein sicheres Werkzeug ist verboten, während dieselben Daten per normaler E-Mail gesendet werden dürfen.
• Ein gemeinsames Konto bleibt „bequem“, obwohl starke Passwörter und Nachvollziehbarkeit vorgeschrieben sind.
• Backups laufen regelmäßig, aber niemand hat geprüft, ob sich die Daten wiederherstellen lassen und wie lange das dauert.
• Kontakt wird mit Datenschutz begründet blockiert, obwohl ein rechtmäßiges kontrolliertes Formular möglich ist.
• Jede kleine Änderung braucht Freigabe, während Administratorrechte nicht kontrolliert werden.

Sicherheitsfehler, die harmlos aussehen

Die gefährlichsten Absurditäten sind oft Routine und lösen bis zum Incident keinen Alarm aus.

• Konten ehemaliger Mitarbeitender bleiben aktiv, weil die IT nicht über das Ende des Arbeitsverhältnisses informiert wird.
• Updates werden ohne Termin, Ausnahme oder Risikobewertung verschoben.
• Ein Cloud-Dokument hat einen öffentlichen Link, obwohl der übergeordnete Ordner privat wirkt.
• Alarme landen in einem Postfach, das außerhalb der Geschäftszeit niemand überwacht.
• Mitarbeitende umgehen den Prozess, weil der sichere Weg langsamer oder praktisch nicht verfügbar ist.

Prüfen, ob eine Kontrolle real ist

Der Prozessverantwortliche sollte vier Fragen beantworten können, ohne nur auf den Richtlinientext zu verweisen.

• Welches konkrete Risikoszenario die Kontrolle adressiert.
• Wer sie ausführt, Ausnahmen genehmigt und auf Unwirksamkeit reagiert.
• Welcher Nachweis den Betrieb im letzten Zeitraum belegt.
• Was nach einer Änderung von System, Lieferant, Recht oder Arbeitsmodell geschieht.

Was vor einer weiteren Richt­li­nie zu prüfen ist

Eine neue Richtlinie sollte aus der Landkarte von Daten, Prozessen und Verantwortung folgen. Sonst wiederholt sie Widersprüche und erzeugt neue Umgehungen.

Sicherheit und Erreichbarkeit des Unternehmens

Datenschutz verlangt nicht, Telefonnummern zu verstecken oder sicheren Kundenkontakt zu verhindern. Zweck, Datenumfang, Rechtsgrundlage, Aufbewahrung und berechtigte Bearbeitung müssen feststehen. Ein kontrolliertes Formular, beschränktes Postfach und klarer Hinweis schützen oft besser als informeller Kontakt über private Messenger.

Eine Absurdität in eine funktionierende Kontrolle verwandeln

Die Korrektur beginnt beim Risikoszenario und endet mit einem Test im echten Prozess.

• Geschütztes Asset, Bedrohung, Schwachstelle und mögliche Geschäftsauswirkung benennen.
• Eine zum Risiko und zur Teamfähigkeit passende Kontrolle wählen.
• Verantwortliche, Ausführung, Termin, Ausnahme und Eskalationsweg zuweisen.
• Nachweis, Kennzahl und Auslöser für Verbesserung definieren.
• Die Regel mit Nutzer, Administration und Prozessverantwortlichem testen.

Informationssicherheit im Unternehmen gewährleisten

Ein kohärentes Schutzsystem verbindet Menschen, Technik und Managemententscheidungen, statt einzelne Verbote zu vervielfachen.

• Daten klassifizieren und Verantwortliche, Aufbewahrung sowie erlaubte Kanäle festlegen.
• Least Privilege, MFA, Segmentierung, Updates und sicheren Fernzugriff nutzen.
• Ereignisse, Backup, Kapazität, privilegierte Konten und kritische Services überwachen.
• Incident Response, Wiederherstellung und Kommunikation mit Nutzern und Kunden üben.
• Kontrollen nach Incidents oder Änderungen an System, Lieferant, Prozess oder Recht prüfen.

Verantwortliche, Ausnahmen und Verantwortung

Eine Ausnahme ist kein Kontrollversagen, wenn sie sichtbar, begrenzt und regelmäßig bewertet ist.

• Jede Kontrolle hat einen Business Owner und eine für die Ausführung verantwortliche Person.
• Eine Ausnahme dokumentiert Grund, Umfang, Risiko, Ersatzmaßnahme und Ablaufdatum.
• Eine überfällige Entscheidung eskaliert an jemanden, der Risiko akzeptieren darf.
• Das Ausnahmeregister wird mit Incidents, Änderungen und Auditfeststellungen geprüft.

Beispiel: ein gemeinsam genutztes Konto ersetzen

Ein Verbot gemeinsamer Passwörter löst das Problem nicht, wenn Mitarbeitende weiterhin dasselbe Postfach oder dieselbe Anwendung benötigen. Schaffen Sie zuerst einen Zugang ohne gemeinsame Anmeldung.

• Klären Sie, wer das gemeinsame Konto wofür nutzt, auch bei Vertretungen und außerhalb der Geschäftszeiten.
• Richten Sie persönliche Zugänge oder Berechtigungen für das gemeinsame Postfach ein. Prüfen Sie mit den Nutzern, ob sie ihre Aufgaben erledigen können.
• Deaktivieren Sie die gemeinsame Anmeldung, sobald der neue Zugang funktioniert. Legen Sie fest, wer Berechtigungen bei Aufgabenwechsel oder Austritt entzieht.

Wann eine externe Prüfung sinnvoll ist

Eine unabhängige Bewertung hilft besonders, wenn interner Streit Entscheidungen blockiert oder eine Kontrolle keinen glaubwürdigen Nachweis liefert.

• IT, Compliance, Recht und Fachbereiche interpretieren dieselbe Regel unterschiedlich.
• Audit meldet fehlende Nachweise trotz vieler Dokumente und Verfahren.
• Mitarbeitende umgehen regelmäßig eine Schutzmaßnahme, um arbeiten zu können.
• Incidents kehren wieder, obwohl die Kontrolle formal als umgesetzt gilt.
• Cloud-, Lieferanten-, Arbeitsmodell- oder Regulierungsänderungen verlangen Neubewertung.

Anleitungen schreiben, die im Alltag helfen

Mitarbeitende müssen wissen, wann eine Regel gilt, wie sie die Aufgabe erledigen und wen sie bei Problemen ansprechen können. Der Name einer Richtlinie oder die Nummer eines Verfahrens reicht nicht aus.

• Zweck und Risikoszenario in verständlicher Sprache.
• Umfang von Daten, Systemen, Rollen und Situationen.
• Verantwortliche, Frequenz, Ausführungsschritte, Ausnahmen und Eskalation.
• Eine Möglichkeit zur Ergebniskontrolle, etwa ein Anmeldeversuch nach dem Rechteentzug oder die Wiederherstellung einer ausgewählten Datei.

Was 2026 eine reale von einer Pa­pier­kon­trol­le unterscheidet

Prüfprotokolle, Testergebnisse und Entscheidungen der Verantwortlichen können die Wirksamkeit einer Kontrolle belegen. Ein freigegebenes Dokument allein zeigt dies nicht.

Welches Ergebnis eine Kontrollprüfung liefern sollte

Die Prüfung sollte in Entscheidungen enden und nicht in einer weiteren Liste allgemeiner Empfehlungen.

Verwandte Virtline-Leistungen

Regelbereinigung verbindet meist Risikoanalyse, Identitätsschutz, Zusammenarbeit und technische Schutzmaßnahmen.